لينكس / المتوسط: فهم إدارة النظام / الدرس 9

تصميم وصول المستخدمين والمجلدات المشتركة

اجمع هويات الحسابات والمجموعات الإضافية وتفويض الإدارة وقوائم ACL دون توسيع الوصول بلا حاجة.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى 2026-10-23

في هذه الصفحة

أهداف الدرس

شرح الهوية الرقمية والبحث عن الحسابات.
تصميم وراثة المجلدات المشتركة بالمجموعات وACL.
الفصل بين المصادقة والتخويل والتفويض الإداري.

تُحل أسماء الحسابات إلى هويات رقمية

تخزن الملكية أساساً بمعرفات مستخدم ومجموعة رقمية. تجعلها الأسماء مقروءة، لكن نقل قرص بين جهازين قد يربط الرقم بشخص مختلف. يستشير getent مصادر البحث المهيأة، وقد تشمل أدلة شبكية لا /etc/passwd فقط. يحوي سجل passwd بيانات الحساب، وتحفظ تجزئات كلمات المرور عادة منفصلة ومحمية. ينبغي تحديد غرض حساب الخدمة وتقليل أذوناته ومراجعة سياسة دخوله. ولا تفترض أن الصدفة غير التفاعلية تمنع كل طرق تنفيذ العمل.

bash فحص حساب متعلم افتراضي

getent passwd learner
id learner

تُدرس الأوامر في صورة مؤقتة أُنشئ فيها learner عمداً. يعرض getent السجل المحلول، ويعرض id المجموعات. الغياب نتيجة صالحة وليس سبباً لإنشاء حساب على المضيف.

تؤثر تغييرات المجموعات في اعتماد العملية

تحمل عملية الدخول اعتمادها، بما فيه معرفات المجموعات الإضافية. لا يعيد تعديل العضوية كتابة اعتماد كل جلسة قائمة تلقائياً. تحصل جلسة جديدة عادة على القائمة الجديدة؛ افحص اعتماد العملية المنفذة. قد تستبدل صياغة إدارة المجموعات العضويات عند قصد الإلحاق، فادرس أمر التوزيعة الدقيق. تجعل بتة set-group-ID على المجلد الأبناء الجدد يرثون مجموعته عادة، مما يفيد المشاركة، لكن نمط الإنشاء يحدد منح الزملاء القراءة أو الكتابة.

تضيف ACL مدخلات مسماة وقناعاً

توسع ACL الوصول نموذج المالك والمجموعة والآخرين بمستخدمين ومجموعات مسماة. يقيد القناع الأذونات الفعلية للمستخدمين والمجموعات المسماة ومدخل مجموعة الملكية، ولا يقيد المالك أو الآخرين. يعرض getfacl الأذونات المطلوبة والفعلية عند اللزوم. قد يمثل حقل نمط المجموعة القناع لا مدخل المجموعة وحده. لذلك يمكن أن يغير chmod لاحق الوصول الفعلي رغم بقاء rw ظاهراً في مدخل مسمى.

bash قراءة ACL لمستخدم مسمى ووصوله الفعلي

# Study only in a disposable ACL-enabled lab with a learner account.
setfacl -m u:learner:r-- ./shared-note.txt
getfacl ./shared-note.txt

يجب أن يملك مشغل المختبر الملف المصطنع مسبقاً. راجع القناع في خرج getfacl وعبور المجلد الأب. المثال إداري سياقي لا وصفة تنفيذ على المضيف.

تصف ACL الافتراضية الكائنات اللاحقة

تؤثر ACL الافتراضية للمجلد في قائمة الوصول الأولية للأبناء الجدد، ولا تحدث الملفات الموجودة بأثر رجعي. يبقى نمط الإنشاء المطلوب من البرنامج قيداً؛ فلا يتحول طلب ملف خاص إلى كتابة للجميع بالوراثة وحدها. ميّز قائمة وصول المجلد الحالية من قائمته الافتراضية. اختبر التطبيق المنشئ نفسه لأن المحررات قد تستبدل الملف بكائن مؤقت جديد. وثق المالك والمجموعة والقائمة والوصول الفعلي بدلاً من الثقة في إعداد واحد.

تفويض محدود وتحقق بالهوية الفعلية

تثبت المصادقة الهوية ويقرر التخويل ما يجوز لها. يفوض sudo أفعالاً ذات امتياز وفق سياسة، لا لمجرد معرفة كلمة المرور. قد يتحول السماح العام بأمر إلى صلاحية جذر إذا دعم هروب الصدفة أو كتابة ملفات عشوائية. راجع السياسة بأداة التحقق المدعومة في المختبر، وفضّل دوراً خاصاً بالتطبيق حيث أمكن. اختبر الوصول بالحساب المقصود دون كشف الاعتماد. أدرج الأفعال المرفوضة في الاختبار كي لا تسمح المشاركة الصحيحة بوصول غير متعلق خفية.

الأخطاء الشائعة وإصلاحها

غياب عضوية جديدة عن الجلسة

لماذا يحدث؟: تحتفظ العمليات القائمة باعتمادها السابق.
كيف تصلحه؟: استخدم دخولاً جديداً مصرحاً وافحص id هناك.
كيف تتجنب تكراره؟: تحقق من العملية الفاعلة لا سجلات الحساب وحدها.

وجود مدخل ACL مع رفض الوصول

لماذا يحدث؟: يقيده القناع أو مجلد أب أو سياسة أخرى.
كيف تصلحه؟: افحص الوصول الفعلي عبر getfacl والمسار كله.
كيف تتجنب تكراره؟: اختبر الهوية والعملية الفعليتين.

توقع تغيير الملفات القديمة بـ ACL افتراضية

لماذا يحدث؟: اختلطت وراثة الإنشاء بالتعديل اللاحق.
كيف تصلحه؟: خطط لترحيل مستقل مراجع للكائنات الموجودة.
كيف تتجنب تكراره؟: افصل افتراضيات المستقبل عن جرد الوصول الحالي.

اختبر فهمك

1. مدخل مستخدم مسمى rw- والقناع r--. ما الوصول الفعلي؟

اعرض الحل المشروح

القراءة فقط فعلية لأن القناع يقيد أذونات المستخدم المسمى. لا يصلح تغيير مدخل المالك هذا القيد. افحص البحث في المجلدات الأبوية وأي سياسة إضافية قبل الجزم بإمكان الوصول.

2. صمم اختبارات لمجلد مشروع مشترك لشخصين.